documento dpsIC Orbetello

ISTITUTO SCOLASTICO COMPRENSIVO
ORBETELLO
Documento programmatico
sulla sicurezza dei dati
D.Lgs. 196/2003
Sysmar srl progetti & consulenze
1
INDICE
1. Introduzione
2. Elenco dei trattamenti di dati personali
2.1
Dati trattati dal personale docente
2.2
Dati trattati dal personale ATA
2.3
Dati trattati dal dirigente scolastico
3. Distribuzione dei compiti e delle responsabilità
3.1
Individuazione ed attribuzioni del responsabile
3.2
I responsabili esterni
3.3
Gli incaricati
3.4
L’amministratore di sistema
4. Analisi dei rischi che incombono sui dati
4.1
Descrizione stato attuale
4.1.1 Plessi e loro collocazione
4.1.2 Locali dove avviene il trattamento da parte del personale docente
4.1.3 Locali dove avviene il trattamento da parte del dirigente scolastico e del
personale ATA
4.1.4 Descrizione generale dell’edificio che ospita presidenza e segreteria
4.1.5 Descrizione dei locali della presidenza e dei servizi di segreteria
4.1.6 Gestione delle chiavi
4.1.7 Rilevazione struttura sistema informatico
4.2
Analisi
4.2.1
4.2.2
4.2.3
dei rischi
Rischi riguardanti le basi di dati trattate da docenti
Rischi riguardanti le basi di dati trattate dal personale ATA
Rischi per il sistema informativo automatizzato
5. Misure da adottare per garantire l’integrità e la disponibilità dei dati
5.1
Misure fisiche
5.1.1 Sicurezza di area
5.1.2 Sicurezza degli archivi
5.1.3 Attuazione degli adeguamenti riferiti alle misure fisiche
5.2
Misure
5.2.1
5.2.2
5.2.3
5.2.4
informatiche
Sistema di autenticazione
Sistema di autorizzazione
Altre misure
Attuazione degli adeguamenti riferiti alle misure informatiche
5.3
Misure organizzative
6. Criteri da adottare per garantire l’adozione delle misure minime di sicurezza in caso di
affidamento del trattamento a soggetti esterni
6.1
Affidamento a persone fisiche
6.2
Affidamento a persone giuridiche
7. Modalità per il ripristino della disponibilità dei dati in seguito a distruzione o
danneggiamento
8. Interventi formativi
8.1
Interventi formativi già attuati
8.2
Interventi formativi al momento dell’ingresso in servizio
8.3
Interventi formativi di aggiornamento
9. Misure specifiche per i dati personali idonei a rivelare lo stato di salute
Sysmar srl progetti & consulenze
2
1 - Introduzione
Il presente documento (DPS) definisce lo stato di attuazione nell’Istituto Scolastico
Comprensivo di Orbetello per quanto disposto dal D. Lgs. 30 giugno 2003 n° 196
Codice in materia di protezione dei dati personali agli articoli 31, 33, 34 e 35 e dal
Disciplinare tecnico in materia di misure minime di sicurezza (allegato B del Codice).
Il contenuto di quanto segue si riferisce alla struttura organizzativa e funzionale
della istituzione scolastica che prevede il trattamento di dati effettuato, per le
rispettive competenze, dal corpo docente e dal personale ATA. Nell'affrontare e
Disciplinare tecnico in
risolvere le varie problematiche riferite all'applicazione
materia di misure minime di sicurezza (allegato B del Codice) si è ritenuto opportuno
quindi considerare, all'interno di uno stesso quadro organizzativo, in modo separato il
trattamento dei dati operato dal personale docente e dal personale ATA.
I dati personali, comuni e sensibili, trattati da docenti riguardano essenzialmente gli
alunni; i dati personali, comuni e sensibili trattati dal personale di segreteria
riguardano sia gli alunni che il personale della scuola.
L’Istituto aveva ottemperato a quanto disposto dalla legge 675/96 e provvedimenti
collegati nel dicembre dell’anno 2000 attraverso la notifica al Garante per la
protezione dei dati, la formalizzazione delle nomine, la redazione del Documento
Programmatico per la Sicurezza, l’attuazione di specifiche attività formative rivolte a
tutto il personale e la predisposizione del “Regolamento per il trattamento dei dati
sensibili”. Riguardo alle prescrizioni contenute nel Documento Programmatico per la
Sicurezza sono state avanzate da questa istituzione numerose richieste
all’amministrazione comunale di Orbetello, richieste che ad oggi sono state in gran
parte disattese.
Dalla prima approvazione del Documento Programmatico per la Sicurezza non sono
da registrare avvenimenti rilevanti ai fini della sicurezza dei dati personali.
Sysmar srl progetti & consulenze
3
2 - Elenco dei trattamenti di dati personali
2.1 Dati trattati dal personale docente
I dati personali trattati dai docenti sono contenuti in banche dati su supporto
cartaceo che si possono classificare in:
o basi di dati alle quali hanno accesso più docenti
o basi di dati alle quali ha accesso un singolo docente.
Le banche dati cui hanno accesso più docenti sono:
o
o
o
o
o
o
o
il registro di classe
il registro dei verbali del consiglio di classe o di interclasse
la documentazione relativa alla programmazione didattica
i documenti di valutazione
la documentazione dello stato di handicap
i certificati medici degli allievi
la corrispondenza con le famiglie
Le banche dati cui ha accesso il singolo docente sono:
o il registro personale
o gli elaborati
Appare opportuno considerare i dati trattati dai docenti nel loro insieme come dati
sensibili, ai sensi della lettera d comma 1 dell’articolo 4 del Codice, essendo difficile,
per loro natura e organizzazione, classificarli in sensibili e personali. Il trattamento
dei dati da parte dei docenti (tenuta dei registri, modalità di compilazione dei
documenti di valutazione, verbalizzazione etc.) è definito puntualmente da norme di
legge o regolamentari.
2.2 Dati trattati dal personale ATA
Le banche dati su supporto cartaceo e/o informatizzato, contenenti dati personali,
cui ha accesso il personale ATA, raggruppati in insiemi omogenei, sono
o
o
o
o
o
o
o
o
i fascicoli relativi al personale della scuola,
i fascicoli alunni ed ex alunni
l'anagrafe fornitori, i contratti
documentazione finanziaria e contabile
la documentazione didattica trattata dai docenti per la conservazione
il registro degli infortuni
il registro di protocollo
gli atti e i documenti prodotti dalla Istituzione
Sysmar srl progetti & consulenze
4
2.3 Dati trattati dal dirigente scolastico
Le banche dati di esclusiva pertinenza del Dirigente Scolastico sono:
o
o
o
o
o
il fascicolo del personale direttivo
i verbali delle assemblee dei genitori
la programmazione relativa allo stato di disagio.
il protocollo riservato
il fascicolo del personale in prova.
3 - Distribuzione dei compiti e delle responsabilità
Il Codice individua agli articoli 28, 29 e 30
trattamento dei dati personali:
i soggetti che sono coinvolti nel
il titolare, cioè la persona fisica o giuridica che ha la responsabilità finale ed
assume le decisioni fondamentali riferite al trattamento dei dati personali;
il responsabile, è la persona, dotata di particolari caratteristiche di natura
morale e di competenza tecnica, preposta dal titolare al trattamento dei dati
personali “ivi compreso il profilo della sicurezza”; possono essere nominati anche
più responsabili in base ad esigenze organizzative;
l’incaricato è la persona fisica che materialmente provvede al trattamento dei
dati, secondo le istruzioni impartite dal titolare o dal responsabile se nominato;
Il previgente DPR 318/99 individuava ,all’articolo 1, un nuovo soggetto che si
aggiunge ai quattro descritti in precedenza:
l’amministratore di sistema, soggetto cui è conferito il compito di
“sovrintendere alle risorse del sistema operativo di un elaboratore o di un sistema
di base di dati e di consentirne l’utilizzazione”.
Il Codice non contempla tale soggetto che comunque può essere ricondotto ad un
tipo particolare di incaricato.
3.1
Individuazione del responsabile ed attribuzioni
Per la individuazione del responsabile, la cui nomina è facoltativa, esistono diverse
possibilità:
a) non viene nominato, ed il dirigente scolastico assume personalmente tutte le
incombenze relative agli adempimenti previsti dal D.Lgs.196/2003 per il
titolare;
b) viene nominato il direttore dei servizi generali ed amministrativi per i trattamenti
dei dati che riguardano in modo specifico i servizi di segreteria mentre i l capo
d’istituto si occupa direttamente del trattamento dei dati effettuato dai docenti;
c) vengono nominati:
- il direttore dei servizi generali ed amministrativi per i trattamenti dei dati
che riguardano in modo specifico i servizi di segreteria;
- uno o più docenti per i trattamenti dati effettuati dagli insegnanti per fini
didattici.
Sysmar srl progetti & consulenze
5
In base a quanto disposto dall’articolo art 29 2° comma, D.Lgs.196/2003
“ Il responsabile se designato, deve essere nominato fra i soggetti che per esperienza
capacità ed affidabilità, forniscano idonea garanzia del pieno rispetto delle vigenti
disposizioni in materia di trattamento, ivi compreso il profilo della sicurezza”.
Il dirigente scolastico ha deciso di adottare la soluzione “b” dato che fino al momento
attuale le questioni afferenti all’accesso ai documenti da parte degli interessati sono
state trattate, per le rispettive competenze, dallo stesso e dal direttore dei servizi
generali ed amministrativi e visto che la individuazione di docenti come responsabili
richiederebbe la preventiva realizzazione di impegnative attività di formazione
Viene quindi individuato come responsabile, per i trattamenti dei dati che
riguardano in modo specifico i servizi di segreteria, il direttore dei servizi
generali ed amministrativi.
3.2
I Responsabili esterni
Dato che questa
Istituzione scolastica si avvale, o si può avvalere,
per
l’espletamento del servizio mensa e di pulizia o per altre attività di imprese esterne ,
considerato che i dipendenti di tali imprese, nell’ambito del servizio, hanno accesso
ad aree contenenti archivi di dati personali e/o a dati personali,
i legali
rappresentanti delle stesse imprese saranno nominati dal titolare responsabili esterni.
3.3
Gli Incaricati
Il docente è da considerarsi, per la propria sfera di competenza, incaricato del
trattamento come tale deve essere nominato mediante specifico atto che elenchi
puntualmente: categorie dei dati cui può avere accesso; tipologia di trattamento e
vincoli specifici applicabili alle varie tipologie di dati; istruzioni in merito ai soggetti cui
i dati possono essere comunicati o diffusi.
Ogni assistente amministrativo dovrà essere nominato incaricato del trattamento
con specifico atto, in base ai compiti che assolve nell’ufficio.
I collaboratori scolastici, qualora trattino anche saltuariamente dati personali,
dovranno essere incaricati con specifico atto.
Le nomine di incaricato del trattamento dati saranno effettuate anche per il
personale supplente temporaneo, docente e ATA .
Dovrà essere nominato incaricato anche il personale esterno (persone fisiche) che
sulla base di incarichi o convenzioni stipulate con l’Istituzione scolastica ha accesso al
trattamento di dati personali, compreso il personale esterno incaricato della
manutenzione degli strumenti informatici..
3.4
L’Amministratore di Sistema
Poiché le basi di dati contenenti dati personali sono, al momento attuale, di esclusiva
pertinenza degli uffici di segreteria appare naturale, anche in coerenza con quanto
indicato dall’Amministrazione centrale, individuare il direttore dei servizi generali ed
amministrativi quale amministratore di sistema.
Il Codice in materia di protezione dei dati personali non prevede in modo esplicito
tale figura, che comunque è da assimilarsi ad un incaricato o responsabile di
trattamento.
Sysmar srl progetti & consulenze
6
Analisi dei rischi che incombono sui dati
4
Per procedere all’analisi dei rischi che incombono sui dati è necessario descrivere ed
analizzare la situazione attuale della istituzione scolastica.
I dati che seguono sono relativi a una rilevazione effettuata nel marzo 2004.
4.1 Descrizione dello stato attuale
Trattamento dei dati effettuato dal personale di segreteria e dal dirigente
scolastico
I locali interessati al trattamento dei dati da parte del personale di segreteria e da
parte del dirigente scolastico sono siti nel plesso della Scuola Elementare di Neghelli,
(Orbetello) in via De Amicis e nello specifico constano di:
−
−
−
−
Direzione
Segreteria
Locali archivio
Locale collaboratori amministrativi
Due locali archivio sono ubicati nel plesso della Scuola Media di Neghelli
Descrizione dei locali
L’edificio è composto da un piano terra e da un primo piano.
L’edificio presenta al piano terra numerose finestre non dotate di sistemi
antintrusione.
L’accesso all’edificio è costituito da una porta a vetri con serratura ordinaria ed è
controllato dai custodi che hanno sede in un locale attiguo all’ingresso principale.
Direzione e servizi di segreteria
I locali che ospitano direzione, segreteria ed ufficio dei collaboratori amministrativi
sono posti al primo piano con porte che danno su un piccolo corridoio che immette
nel corridoio principale del piano.
Il locale adibito ad archivio è ubicato in una stanza adiacente ai locali segreteria.
Nell’archivio si transita per accedere all’ufficio del direttore amministrativo ed è
collocato un armadio blindato.
Gli infissi non presentano particolari condizioni di sicurezza, non sono presenti sbarre
alle finestre.
- E’ assente in tutti i locali un sistema antintrusione
- Le porte di accesso sono dotate di normali serrature; anch’esse non
presentano particolari elementi di sicurezza..
- Per quanto riguarda, il pericolo incendio o allagamento si fa riferimento al
piano di sicurezza dei luoghi di lavoro ai sensi de Dlgs. 626/94 conservato
nella sede scolastica.
Sysmar srl progetti & consulenze
7
Nel locale dei collaboratori amministrativi sono presenti 3 postazioni di lavoro con
cassetti, inoltre sono presenti armadi in metallo e classificatori in metallo; non tutti gli
armadi ed i cassetti sono dotati di serratura funzionante.
Nella segreteria è presente un armadio blindato.
Le banche dati contenenti dati personali e sensibili sono custodite in armadi,
schedari, non tutti dotati di serratura efficiente, e scaffali metallici collocati all’interno
degli uffici.
Le banche dati custodite nei locali archivio, organizzate in faldoni, sono collocate in
scaffali metallici o in legno.
Gli archivi ubicati nel plesso della Scuola media di Neghelli sono posizionati al piano
terra con porte che danno direttamente sul corridoio principale, le finestre hanno
ampie superfici con vetri normali e senza grate, la porta di un locale è blindata
mentre nell’altro locale si accede attraverso una porta normale con serratura
normale. In tutto l’edificio è presente un sistema antitrusione
Locali ad uso didattico
Di seguito viene riportato l’elenco dei plessi costituenti l’Istituto comprensivo:
Scuola Media
Obetello - Neghelli
Scuola Elementare
Obetello - Neghelli
Scuola dell’Infanzia
Obetello - Neghelli
Scuola Elementare
Obetello
Scuola Elementare
Orbetello Scalo
Scuola dell’Infanzia
Orbetello Scalo
Nei plessi in questione sono presenti alcuni arredi, armadi in legno e metallo, in
generale non idonei contenere i dati personali secondo le prescrizioni di legge.
Sysmar srl progetti & consulenze
8
4.1.6 Gestione delle chiavi
Chiavi per l’accesso all’edificio
Sede che ospita direzione e servizi di segreteria
a) soggetti cui sono affidate le chiavi
personale istituzione
- Tutti i collaboratori scolastici
soggetti esterni
- Ditta pulizie
b) modalità di affidamento delle chiavi
-
Non presente
X
c) esistono copie delle chiavi
si
o
no
d) in caso di risposta positiva indicare il soggetto o i soggetti preposti alla
custodia delle copie di sicurezza
-
Locale segreteria (bacheca aperta)
Gestione delle chiavi di accesso ai locali dove sono trattati dati personali
-
locali situati nell’edificio
-
Sede che ospita direzione e servizi di segreteria
a) soggetti cui sono affidate le chiavi
personale istituzione
-
Collaboratori scolastici
Assistenti amministrativi
-
Direttori SGA
b) modalità di custodia delle chiavi
- Affidamento informale
c) esistono copie delle chiavi
si
Sysmar srl progetti & consulenze
no
X
9
Chiavi degli archivi dove sono custoditi i dati personali
Le chiavi sono affidate in modo informale agli assistenti amministrativi.
4.1.7 Rilevazione struttura del sistema informatico
Il sistema informatico è attualmente in fase di sistemazione per la rete, per i’
hardware e per il software (installazione di nuove procedure gestionali che
sostituiscono le procedure precedentemente in uso fornite dal MIUR)
1-Tipologia della rete
-
A stella (realizzata dall’Amministrazione Comunale di
Orbetello)
2- Tipologia delle risorse hardware
-
n. 1 server
-
Locale Collaboratori Amministrativi
5 client
3- Collocazione server
4- Accesso alle risorse Internet
-
Ruter (accesso in rete)
-
Posta elettronica ministeriale
[email protected]
5- Posta elettronica
Tipologia delle risorse software
6- Sistema operativo usato sul server
-
Windows Server 2000
7-Sistemi operativi usati sui client e procedure informatche
Licenze MS Office:
- Windows Millenium 2000
- Windows 98
Licenze Antivirus:
- Norton
Elenco procedure gestionali:
Sysmar srl progetti & consulenze
10
-
SISSI in rete.
-
TECMAR Orbetello
Egasoft Sisi
8- Supervisore di rete
10- Planimetria e progetto della rete
-
Nessuno
-
Condivisione files e cartelle
11- Uso della rete
12- Interventi di formazione del personale
Organizzati dal provveditorato agli studi
-
13- Assegnazione di nomi logici per le periferiche di rete
Si
-
14- Assegnazione delle password di accesso alle singole macchine
Si
-
15- Assegnazione dei codici identificativi personali
Si
-
16- Collaboratori esterni o temporanei che hanno accesso alla rete
Manutentori
-
Prevenzione della perdita dei dati
17- Software antivirus
Sul server:
- Norton
Modalità di aggiornamento:
Rete
-
Sysmar srl progetti & consulenze
11
18- Incarico formale dell’esecuzione dei backup
-
Si incarico formale (una volta la settimana)
19- Supporto sul quale viene effettuato il backup
-
Jomega zip
20- Libro mastro della programmazione dei backup
-
Non ancora
21 - Locale e contenitore dove vengono custodite le copie di backup
-
Da individuare
-
Si (su tutte le macchine)
22- Gruppo di continuità
23 – Strumenti di difesa antintrusione
-
Router
24- Manutenzione delle risorse hardware e software
Software:
- EGASOFT
Hardware:
- Nessuna
4.2 Analisi dei rischi
Sysmar srl progetti & consulenze
12
Si metteranno di seguito in evidenza i rischi propri, connessi al trattamento dei dati
personali secondo le categorie di rischio elencate nell’articolo 15, comma 1 della
legge 675/96.
Tali rischi si possono classificare in:
- distruzione o perdita, anche accidentale dei dati;
- connessi alla integrità dei dati;
- accesso non autorizzato ai dati;
- trattamento non consentito o non conforme alla finalità della raccolta;
- connessi con l’utilizzo di reti di telecomunicazione disponibili al pubblico;
- connessi al reimpiego di supporto di memorizzazione;
- connessi alla conservazione della documentazione relativa al trattamento;
- connessi all’utilizzo di archivi e contenitori con serrature.
4.2.1
Rischi riguardanti le basi di dati trattate da docenti
I rischi di cui si tratta afferiscono al trattamento dei dati connesso con l’attività
didattica, che viene effettuato senza l’ausilio di strumenti elettronici:
-
distruzione o perdita accidentale dei dati a causa di eventi naturali,
allagamenti, furto danneggiamento etc.;
- data la collocazione dei locali il rischio di distruzione o danneggiamento
-
-
a causa di eventi naturali quali allagamenti appare nel complesso
modesto;
i rischi relativi a furto e danneggiamento appaiono nel complesso
presenti e rilevanti per quanto riguarda la possibilità di intrusione
dall'esterno durante la chiusura della scuola, nei plessi dove è assente
il sistema di allarme
(si ricorda che in alcuni plessi s sono verificati in passato furti e
danneggiamenti).
connessi alla integrità dei dati: utilizzo di supporti o modalità di
trattamento non stabili;
- rischio nel complesso irrilevante
-
accesso non autorizzato ai dati, da parte di soggetti esterni alla scuola
o da parte di personale interno;
- il rischio appare di livello medio dato che non sono presenti in tutti i plessi
contenitori adeguati con serrature efficienti;
-
trattamento non consentito o non conforme alle finalità di raccolta:
diffusione, comunicazione, manomissione,
- rischio nel complesso irrilevante vista l'esperienza del personale,
procedure adottate e le iniziative di formazione in corso
-
le
connessi all’utilizzo di archivi e contenitori con serrature
- presente e rilevante dato che non in tutti i plessi sono presenti locali
ad uso esclusivo dei docenti e contenitori ed archivi dotati di serrature
efficienti;
Sysmar srl progetti & consulenze
13
4.2.2 Rischi riguardanti le basi di dati trattate dal personale ATA
I rischi riguardano le basi di dati trattate esclusivamente dal personale ATA e la
documentazione didattica non riferita all’anno scolastico in corso; il trattamento è
effettuato con strumenti elettronici e con strumenti non elettronici.
Locali dei servizi amministrativi
I rischi di cui si tratta sono:
- distruzione o perdita accidentale dei dati
a causa di eventi naturali, allagamenti, furto, danneggiamento etc.;
i rischi di allagamento per cause naturali appaiono, data la collocazione,
molto bassi, presenti anche se non di particolare rilevanza quelli che
possono essere causati da guasti alle condotte idriche e termiche;
relativamente ai rischi di furto e di danneggiamento:
l rischi appaiono inesistenti durante l’orario di apertura per gli
uffici
amministrativi dato il presidio continuo da parte del personale.
I rischi appaiono presenti durante l’orario di chiusura data l’assenza di
idonei strumenti di difesa (sistema di allarme, protezioni accessi etc.).
-
connessi alla integrità dei dati: utilizzo di supporti o modalità di
trattamento non stabili
- per i dati su supporti cartacei il rischio è da considerarsi, nel complesso,
basso anche se si ritengono opportune verifiche periodiche
-
accesso non autorizzato ai dati, da parte di soggetti esterni alla scuola
o da parte di personale interno
- il rischio è presente data la non delimitazione delle aree cui
accedere pubblico.
-
può
trattamento non consentito o non conforme alle finalità di
raccolta: diffusione, comunicazione, manomissione
- il rischio appare presente ma di non particolare rilievo in quanto il
personale è esperto e consapevole del proprie responsabilità;
-
connessi all’utilizzo di archivi e contenitori con serrature
- rischio è presente dato che nei locali idi cui si tratta sono presenti
contenitori ed archivi dotati solo in parte di serrature efficienti e dato il
modesto uso delle stesse;
-
connessi all’utilizzo del sistema informativo automatizzato
(Si ritiene opportuna una analisi puntuale dei rischi cui è esposto il sistema
informativo automatizzato che viene riportata di seguito)
4.2.3
Rischi per il sistema informativo automatizzato
L’analisi dei rischi consiste nella individuazione degli elementi del sistema informativo
automatizzato che necessitano di protezione e delle minacce cui gli stessi possono
essere sottoposti, tenendo conto del fattore tecnologico e del fattore umano.
Le principali fonti di rischio per un sistema informatico sono aggregabili, ai fini della
analisi oggetto del presente paragrafo, nel modo che segue:
Sysmar srl progetti & consulenze
14
FR1 - maltempo, inondazioni, fulmini, terremoti, fuoco, attentati
FR2 - guasti hardware, caduta di corrente, omissioni hardware, errori e difetti
software, sabotaggi, haking, programmi software maligni (malware,virus,
worm)
FR3 - comportamenti errati, cattiva organizzazione, errata logistica
Il sistema informatico della Istituzione, come descritto al precedente punto 4.1.7, è
distribuito nei locali dove si esegue il trattamento dati senza l’ausilio di strumenti
elettronici per cui per quanto riguarda i rischi compresi nel gruppo FR1 si fa
riferimento a quanto detto al precedente punto 4.2.2.
Riguardo alle fonti di rischio comprese nel gruppo FR2, fino ad oggi anche da una
analisi della serie storiche riguardanti il sistema informatico emerge quanto segue:
○ non si sono registrati consistenti guasti hardware, anche per la continua
manutenzione dello stesso e l’uso di macchine affidabili;
○ nella zona in cui insistono i locali che ospitano il sistema informatico non si
verificano frequentemente cadute di corrente, i rischi connessi sono bassi per la
presenza di gruppi di continuità su tutte le macchine;
○
○
○
il sistema attualmente consente il salvataggio dei dati attraverso il server e
attraverso apparato esterno Iomega zip;
i singoli PC ed il server sono dotati di antivirus Norton
che può essere
aggiornato via internet anche giornalmente;
Riguardo il rischio di accesso abusivo, con i rischi connessi quali conoscenza dati a
persone non autorizzate, distruzione o perdita totale,, danneggiamento dei dati
etc, fino ad oggi non si sono registrati eventi dannosi in ogni modo il sistema
appare attualmente vulnerabile data la mancanza di idonei strumenti di difesa (
firewall)
Per le fonti di rischio comprese nel gruppo FR3 dall’analisi della rilevazione effettuata
risulta quanto segue.
Le credenziali di autenticazione, consistenti in un codice per l’autenticazione
associato ad una parola chiave sono state assegnate.
Il rischio di perdita di dati è presente ma di modesta rilevanza considerata la
presenza di strumenti e supporti idonei per il backup, e di una procedura formale
per il salvataggio (individuazione dell’incaricato, definizione della periodicità,) e data
la mancanza di un registro dove vengono annotati i salvataggi e della individuazione
di un luogo (sicuro) dove vengano custodite le copie di sicurezza.
5 - Misure da adottare per garantire l’integrità e la disponibilità dei dati
Sysmar srl progetti & consulenze
15
5.1 Misure fisiche
I requisiti di sicurezza fisica sono tesi a:
- proteggere le aree
- proteggere gli archivi.
- proteggere le persone che operano sui sistemi,
Variano considerevolmente in funzione delle dimensioni e dell’organizzazione del
Sistema Informativo.
Nella fattispecie viste le dimensioni di tale sistema sono state fatte le seguenti
considerazioni:
5.1.1 Sicurezza di area
La sicurezza di area ha il compito di prevenire accessi fisici non autorizzati, danni o
interferenze con lo svolgimento dei servizi. Le contromisure si riferiscono alle
protezioni perimetrali dei siti, ai controlli fisici all’accesso, alla sicurezza degli archivi e
delle attrezzature informatiche rispetto a danneggiamenti accidentali o intenzionali,
alla protezione fisica dei supporti.
Come si evince dalla da quanto descritto in precedenza (vedi “Situazione attuale”) i
locali, presentano
problematiche di sicurezza relative ad possibili intrusioni
dall’esterno.
Quindi è necessario predisporre quanto segue:
Adeguamento 1
Messa in sicurezza delle vie di accesso non adeguatamente protette in tutti i plessi.
Installazione di un sistema di allarme in tutti i plessi.
Per i locali di segreteria, in alternativa al sistema di allarme si può prevedere la
realizzazione di una porta sicura per l’accesso al piccolo corridoio nel quale si
affacciano le porte dei vari uffici.
Adeguamento 2
Provvedere ad una efficiente e corretta gestione delle chiavi, in particolare quelle
delle porte di accesso agli edifici, anche mediante l’adozione di procedure di
affidamento.
5.1.2 Sicurezza degli archivi
Adeguamento 3
Tutte le banche di dati personali (sensibili e non) devono essere conservate in
contenitori adeguati (schedari, armadi) dotati di serratura efficiente e sicura, e posti
in luoghi non accessibili al pubblico.
Adeguamento 4
I locali che contengono banche di dati personali (sensibili e non) e/o strumenti
informatici devono essere dotati di una porta con serratura efficiente e sicura;
Adeguamento 5
Sysmar srl progetti & consulenze
16
In tutti plessi dovranno essere installati contenitori dotati di serratura efficiente nei
quali custodire documentazione didattica ed altri materiali contenenti dati personali.
Adeguamento 5/1
a) Devono essere indicati con adeguata segnaletica i locali interdetti al pubblico.
b) Nei locali accessibili al pubblico deve essere delimitata l’area di accesso.
Nei locali accessibili al pubblico per i quali non è possibile, per ragioni strutturali
delimitare l’area di accesso, gli utenti saranno ammessi uno alla volta adottando
opportune misure organizzative (comunicazioni scritte, segnaletica o altro); da
verificare la possibilità di svolgere le diverse attività rivolte al pubblico attraverso uno
sportello o un bancone.
5.1.3 Attuazione degli adeguamenti riferiti alle misure fisiche
Questa Istituzione scolastica per provvedere agli adeguamenti riferiti alla sicurezza
delle strutture e degli arredi, descritte al punto precedente, non dispone di risorse
finanziare proprie ma deve riferirsi al comune di Orbetello, sul quale insistono, i vari
plessi ed al quale farà specifiche richieste riferite al contenuto del presente
documento.
5.2 Misure informatiche
Il campo di applicazione della Sicurezza Logica riguarda la protezione
dell’informazione, e di conseguenza di dati, applicazioni, sistemi e reti, sia in
relazione al loro corretto funzionamento ed utilizzo, sia in relazione alla loro gestione
e manutenzione nel tempo.
Il Disciplinare tecnico in materia di misure minime di sicurezza, allegato B al Codice,
prescrive l’adozione di alcune modalità tecniche che in questa Istituzione scolastica si
sintetizzano come segue.
5.2.1
Sistema di autenticazione
Adeguamento 6
Devono essere rese operative per gli incaricati di trattamento (personale di
segreteria) le credenziali di autenticazione.
Le credenziali per l’autenticazione consistono, per il sistema informatico presente
nella istituzione, in un codice per l’identificazione dell’incaricato associato a una
parola chiave riservata conosciuta solamente dal medesimo.
Adeguamento 7
La gestione del sistema di autenticazione informatica, per il personale di segreteria,
sarà effettuato (disposto) dal responsabile come segue:
a) La parola chiave viene assegnata all’incaricato all’atto del primo conferimento
dell’incarico.
b) La parola chiave è modificata dall’incaricato al primo utilizzo e,
successivamente, almeno ogni sei mesi.
c) In caso di trattamento di dati sensibili e di dati giudiziari la parola chiave è
modificata almeno ogni tre mesi.
d) La parola non deve contenere
riferimenti agevolmente riconducibili
all’incaricato.
e) Ad ogni modifica della parola chiave, la parola chiave scelta dall’incaricato è
inserita in una busta sigillata con all’esterno dati identificativi dell’interessato e
Sysmar srl progetti & consulenze
17
la data di consegna; la busta sarà consegnata al responsabile che la custodirà
garantendo la segretezza del contenuto.
f) In caso di prolungata assenza o impedimento dell’incaricato che renda
indispensabile e indifferibile intervenire per esclusive necessità di operatività e
di sicurezza del sistema il responsabile potrà accedere alla credenziale;
provvedendo ad avvertire tempestivamente l’incaricato.
5.2.2
Sistema di autorizzazione
Adeguamento 8
La gestione del sistema di autorizzazione informatica viene effettuato dal
responsabile.
I profili di autorizzazione sono individuati e configurati anteriormente all’inizio del
trattamento.
5.2.3
Altre misure
Adeguamento 9
a) Almeno annualmente è verificata da parte del responsabile la sussistenza
delle condizioni per la conservazione dei profili di autorizzazione.
b) Il responsabile verifica annualmente la lista degli incaricati di trattamento e
degli addetti alla gestione e manutenzione verificando l’ambito di trattamento
consentito ed i relativi profili di autorizzazione.
c) Si allega al presente documento lo schema di scheda per l’individuazione degli
incaricati di trattamento con strumenti informatici con i relativi profili di
accesso.
d) Il responsabile dispone che i dati personali siano protetti contro il rischio di
intrusione e dell’azione di programmi di cui all’art. 615-quinquies del codice
penale, mediante l’attivazione di idonei strumenti elettronici da aggiornare con
cadenza almeno semestrale.
e) Il responsabile impartisce istruzioni organizzative e tecniche che prevedono il
salvataggio dei dati con frequenza almeno settimanale, attraverso il
conferimento di uno specifico compito ad un incaricato e l’istituzione di un
registro per il back-up.
f) Il responsabile provvede alla custodia in un luogo sicuro delle copie di backup.
g) Il responsabile dispone la custodia dei supporti rimovibili contenenti dati
personali individuando contenitori con idonee caratteristiche di sicurezza.
h) Il responsabile dispone la distruzione di supporti rimovibili contenenti dati
sensibili e giudiziari non più utilizzati.
i) Il responsabile dispone e verifica la cancellazione di tutti i dati personali dagli
strumenti informatici non più utilizzati o utilizzati in attività diverse da quelle
amministrative.
j) Il titolare quando si avvarrà di soggetti esterni per la fornitura di prodotti o
servizi finalizzati alla realizzazione di misure minime di sicurezza, si farà
consegnare dal soggetto medesimo una descrizione scritta dell’intervento che
ne attesti la conformità a quanto disposto dal disciplinare tecnico allegato B
del Codice.
Sysmar srl progetti & consulenze
18
5.2.4 Attuazione degli adeguamenti riferiti alle misure informatiche
Per quanto attiene agli adeguamenti del sistema informatico descritti ai punti
precedenti questa istituzione può provvedere nei tempi previsti dato che
a) il software di gestione appare in linea con le norme e si tratta quindi solo di
attivare le previste procedure di autenticazione;
b) l’attivazione di idonei strumenti elettronici per prevenire il rischio di
intrusione nel sistema informatico ha aspetti tecnici, organizzativi ed
economici sostenibili.
5.3 Misure organizzative
Accanto all’adozione di misure tecnologiche già illustrate, è necessario, come
richiamato, vengano definite una serie di norme e procedure miranti a regolamentare
gli aspetti organizzativi del processo di sicurezza.
Gli aspetti organizzativi riguardano principalmente:
la definizione di ruoli, compiti e responsabilità per la gestione di tutte le fasi
del processo Sicurezza;
l’adozione di specifiche procedure che vadano a completare e rafforzare le
contromisure tecnologiche adottate.
Un ulteriore aspetto inerente la Sicurezza Organizzativa è quello concernente i
controlli sulla consistenza e sulla affidabilità degli apparati.
In ordine alla norme di comportamento, si rimanda a quanto è definito nei documenti
di nomina per l’assegnazione di responsabilità ed incarichi ed a quanto specificato
nell’allegato A.
Il titolare ed il responsabile, relativamente ai propri ambiti di competenza,
aggiornano almeno annualmente la lista degli incaricati (redatta anche per classi
omogenee di incarico) con i relativi profili di autorizzazione utilizzando gli allegati B e
C.
6 - Criteri da adottare per garantire l’adozione delle misure minime di
sicurezza nel caso di affidamento del trattamento a soggetti esterni
Nel caso di affidamento da parte della Istituzione a soggetti esterni di attività che
comportino trattamento dei dati conviene distinguere due casi:
a) affidamento a persone fisiche;
b) affidamento a persone giuridiche.
6.1 Affidamento a persone fisiche
Nel caso che il soggetto sia una persona fisica lo stesso sarà nominato, dal titolare o
dal responsabile, incaricato di trattamento dati attraverso un atto di nomina che
specifichi puntualmente le norme di comportamento da seguire.
Ove necessario il titolare o il responsabile provvederanno a informare l’incaricato sui
contenuti fondamentali delle norme che disciplinano il trattamento dei dati personali.
Il titolare o il responsabile verificheranno periodicamente, nelle forme ritenute più
opportune, sulla correttezza del trattamento, con particolare riferimento all’adozione
delle misure minime di sicurezza, da parte degli incaricati
Sysmar srl progetti & consulenze
19
6.2
Affidamento a persone giuridiche
Nel caso che il soggetto sia una persona giuridica lo stessa sarà nominata dal titolare
responsabile esterno di trattamento dati attraverso un atto di nomina che specifichi
puntualmente le norme di comportamento da seguire con specifico riferimento alle
misure minime di sicurezza da adottare.
Il titolare vigilerà sulle attività relative al trattamento dipendenti dal responsabile
esterno e si farà rilasciare dallo stesso una dichiarazione di conformità a quanto
stabilito dalle norme di legge e dal presente documento.
7 - Modalità per il ripristino della disponibilità dei dati in seguito a
distruzione o danneggiamento
Il responsabile nel caso del verificarsi di eventi che provochino la distruzione od il
danneggiamento dei dati personali contenuti nelle banche dati del sistema
informatico, provvederà senza ritardo a ripristinare la funzionalità delle banche dati.
Il ripristino della disponibilità dei dati andati perduti a causa di eventi di diversa
natura consiste di norma
○ nella installazione del software di base, dei programmi, di tutti i file di dati,
○ nella sostituzione di componenti hardware danneggiati che hanno provocato la
interruzione dei trattamenti.
La re-installazione del software di base, dei programmi di office automation e dei file
di dati residenti nei PC sarà effettuata dall’incaricato con funzioni di amministratore di
sistema.
La re-istallazione del software di rete, dei programmi gestionali e dei file di dati
residenti nel server sarà effettuato dal soggetto titolare del contratto di
manutenzione software.
La sostituzione di componenti hardware non funzionanti sarà effettuato dal soggetto
titolare del contratto di manutenzione hardware.
Nei contratti di manutenzione stipulati con i fornitori di software e hardware dovrà
essere inserita una specifica clausola che consenta il ripristino della funzionalità del
sistema informatico e della disponibilità dei dati entro il tempo stabilito dalla legge.
8 - Interventi formativi
8.1 Interventi formativi già attuati
E’ stata realizzata, nella primavera 2004, la formazione del dirigente scolastico del
direttore SGA e degli assistenti amministrativi.
I docenti ed i collaboratori scolastici saranno sottoposti a formazione, anche
attraverso la fornitura di idoneo materiale didattico sui contenuti del Codice e delle
misure di sicurezza previste dall’istituzione.
Il personale supplente temporaneo che prenderà servizio durante il corso dell’anno
scolastico verrà informato sui contenuti del codice e sui doveri da esso derivanti,
anche attraverso la fornitura di materiale informativo di sintesi dal titolare o dal
responsabile.
Sysmar srl progetti & consulenze
20
8.2 Interventi formativi al momento dell’ingresso in servizio
All’inizio di ogni anno scolastico, il titolare ed il responsabile programmeranno,
qualora necessario, attività formative per il personale che prende servizio nella
istituzione e che non è stato in precedenza sottoposto a formazione sui temi di cui si
tratta.
Gli interventi formativi potranno essere realizzati anche in collaborazione con altre
istituzioni scolastiche.
8.3 Interventi formativi di aggiornamento
In sede di verifica dell’efficacia delle misure di sicurezza, anche in relazione a novità
che di dovessero presentare nelle norme di legge e/o in relazione all’evoluzione
tecnica del settore, il titolare ed il responsabile programmeranno le necessarie attività
formative.
Le attività formative sui contenuti di cui si tratta verranno certificate ed annotate su
un apposito registro.
9 - Misure specifiche per i dati personali idonei a rivelare lo stato di salute
Questa istituzione tratta dati idonei a rivelare lo stato di salute del personale, docente
ed ATA, e degli alunni esclusivamente per finalità previste dalla legge.
Secondo quanto prescritto dall’articolo 22 comma 7 del D. lgs 196/2003 i dati idonei
a rivelare lo stato di salute “sono conservati separatamente da altri dati personali
trattati per finalità che non richiedono il loro utilizzo”; inoltre il comma 7 dello stesso
articolo dispone che i dati idonei a rivelare lo stato di salute, qualora contenuti in
banche dati
informatiche vengano trattati “con tecniche di cifratura o mediante
l’utilizzo di codici identificativi o di altre soluzioni, che li rendono temporaneamente
inintellegibili anche a chi è autorizzato ad accedervi e permettono di identificare gli
interessati solo in caso di necessità”.
Riguardo al trattamento senza l’ausilio di strumenti elettronici, dei dati di cui si tratta
si stabilisce quanto segue:
a) Dati riguardanti il personale docente ed ata
I dati consistono essenzialmente in certificati medici consegnati o fatti pervenire
all’ufficio di segreteria.
Dopo la ricezione, durante il trattamento (protocollazione etc) saranno inseriti
in una contenitore chiuso riferito all’interessato e successivamente inseriti nel
fascicolo personale, dove saranno conservati all’interno di una busta chiusa
recante l’indicazione del contenuto separatamente dagli altri documenti.
b) Dati riguardanti gli alunni
I dati consistono essenzialmente in certificati medici consegnati dagli alunni o dai
genitori ai docenti o al personale ATA, per scopi definiti da norme di legge
(giustificazione assenze; esonero da attività di educazione fisica, necessità di
particolari diete alimentari etc.)
Dopo la ricezione i dati saranno inseriti in una contenitore chiuso riferito
all’interessato e successivamente trattati da personale incaricato e custoditi in
appositi contenitori chiusi.
I certificati riguardanti la necessità di particolari diete alimentari, potranno in caso
di necessità, essere comunicati al soggetto che espleta il servizio mensa
previamente nominato responsabile esterno del trattamento da parte del titolare.
Sysmar srl progetti & consulenze
21
Allegati
A – documenti di nomina per l’assegnazione di responsabilità ed incarichi
B – lista degli incaricati di trattamento con strumenti elettronici
C – lista degli incaricati di trattamento senza l’ausilio di strumenti elettronici
Sysmar srl progetti & consulenze
22